Lazarus Group использует LayerZero для отмывания $290 млн после взлома rsETH

После масштабного взлома протокола rsETH, в результате которого было похищено $290 млн, начался процесс отмывания средств. По данным аналитиков, за этим преступлением, вероятно, стоит северокорейская хакерская группировка Lazarus Group, известная своими атаками на криптовалютные платформы.

Средства, украденные в субботу, уже начали перемещаться через криптовалютные мосты — инструменты, которые ранее использовались для аналогичных атак. В частности, злоумышленники задействовали LayerZero, протокол, через который были похищены сами $290 млн. Это подтверждает, что мосты становятся основным каналом для обналичивания украденных активов.

Аналитик Specter сообщил о более чем 1600 транзакциях, проведенных через 370 адресов в первые 12 часов после взлома. Средняя скорость операций составила одну транзакцию каждые 25 секунд. По состоянию на среду, общая сумма отмытых средств превысила $116 млн, переведенных в биткоин (BTC). Еще $61 млн остаются на одном из кошельков.

Сразу после инцидента Arbitrum Security Council удалось вернуть более 30 000 ETH, сократив прибыль хакеров с $245 млн до примерно $175 млн. Однако это не остановило процесс отмывания средств.

Реакция проектов на отмывание средств

Команды криптовалютных мостов отреагировали на ситуацию по-разному. Протокол конфиденциальности Umbra подтвердил, что через его систему прошло $800 000 в ETH. Команда проекта заявила, что не может остановить нелегальное использование своих смарт-контрактов, но временно отключила хостинговый интерфейс для предотвращения дальнейших злоупотреблений.

THORChain, напротив, заявил, что не несет ответственности за отмывание средств. В официальном твите проект подчеркнул, что является децентрализованной сетью, не имеющей центрального управления. Однако аналитики обратили внимание на противоречия: в сети работает 95 узлов, но ранее у протокола действительно существовал админ-ключ, что ставит под сомнение его полную децентрализацию.

По оценкам Specter, 99% отмытых средств прошли через THORChain. На его платформе зафиксировано более $100 000 комиссий за аффилированные операции только во вторник. Исследователь Tanuki42 отметил, что эти сборы более чем в два раза превышают доходы проекта за весь год до этого.

«Неужели вы только что случайно признали, что THORChain был централизованным на протяжении всех этих лет, пока Lazarus отмывал сотни миллионов и зарабатывал миллионы комиссий при наличии у вас админ-ключа?» — написал в Twitter исследователь ZachXBT.

Последствия для DeFi-сектора

Инцидент стал вторым крупным взломом в DeFi за месяц. Общие убытки превышают $500 млн, что усиливает давление на отрасль. Эксперты предупреждают, что подобные атаки могут продолжаться, если не будут внедрены более строгие меры безопасности и механизмы контроля за отмыванием средств.